Ausgehend ESP ouni Äntwert heescht net, datt d’VPN doud ass
ESP schützt eng Richtung pro Associatioun a bestätegt näischt. Gläicht déi bannenzeg Konversatioun an déi agaend SA of, ier Dir de Server als net äntwerend bezeechent.
Dir hutt den Trafic um IPsec-Host opgeholl, ESP-Pakken erausgoe gesinn, näischt zréckkommen gesinn an dofir ofgeleet, datt déi wäit Säit futti ass. D’Opnam ënnerstëtzt dësen Ofschloss net. ESP schützt eng Richtung vun enger Konversatioun a bestätegt näischt op der IP-Schicht, dofir ka fehlend Zréck-ESP sou gutt heeschen, datt d’Applikatioun näischt ze soen hat, wéi datt den Tunnel doud ass. Liest den bannenzegen Austausch an den Zoustand vun der Empfangssäit, ier Dir eng vun de Säiten beschëllegt.
De Mythos: all geschützte Pak verdéngt eng Äntwert
ESP ass kee Fuerderung-Antwert-Protokoll. Et verschlësselt an authentifizéiert, wat d’Politik auswielt, an den Empfänger validéiert, entschlësselt an levert déi bannenzeg Pak, ouni eng eegen Pak ze generéieren. Eng UDP-Ufro, déi d’Destinatioun ignoréiert, oder en ICMP-Echo, deen d’agaend Politik verwërft, produzéieren a béid Richtungen Stille als dat richtegt Resultat. Dës Stille als Transportfehler ze behandelen schéckt Iech op d’Sich no engem Netzwierkfehler, deen et ni gouf.
Wat eng eege Richtungsopnam tatsächlech beweist, ass datt de Stack vum Sender op deem Observatiounspunkt eppes verschlësselt huet. Naischt iwwer d’Ukunft, an naischt iwwer d’Absicht ze äntweren. Déi nëtzlech Fro ass net "firwat gët et keng Äntwert", mä "wat hätt déi bannenzeg Konversatioun produzéiere sollen".
Zwou SA, zwee SPI, eng Konversatioun
IPsec-Sécherheetsassociatioune sinn eenrichtungs, dofir huet en normale geschützten Austausch eng agaend an eng ausgehend Associatioun mat getrennten Identifizéierer an onofhängegem Zoustand. D’Zréckverkéier no der SPI vun der ausgehender Pak ze sichen ass dofir e Kategorie-Fehler, well all Äntwert ënner der eegener ausgehender SA vum Peer mat senger eegener SPI reest. Gläicht de Puer amplaz iwwer Trafic-Selektoren an Adresse vum Peer of.
D’Schlëssel-Erneierung komplizéiert d’Bild fir e puer Sekonnen, well den ale an den Ersatz-Zoustand sech kënnen iwwerlappen. Wann d’Symptom ronderëm eng Schlëssel-Erneierung ugefaang huet, sammelt Associatiouns-Identifizéierer an Zäitstempel zesummen, net just den Numm vun der Verbindung.
Wat den Empfänger muss maachen, ier eppes äntwert
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
All Zeil feelt onofhängeg an all Feeler huet en anere Besëtzer, dofir kann eng eenzeg Opnam se net ënnerscheeden. Den agaende Zähler ass deen eenzegen direkte Beweis vun der Ukunft, well eng Pak, déi hir Authentifizéierung oder Replay-Prüfung net besteet, ouni all Äntwert verworf gëtt. En Peer, deem säin agaende Zähler sech net beweegt huet, schéckt Iech dofir guer keng Informatioun iwwer seng Politik.
D’Liwwerung ass en eegene Schrëtt vun der Entschlësselung. Den Zoustand ka gülteg sinn an d’Pak trotzdem duerno vun enger agaender Politik oder enger Route verworf ginn, déi d’bannenzeg Destinatioun net enthält, dofir kontrolléiert, ob den Zilhost Kloertext gesinn huet, amplaz unzehuelen, en proppere Zähler bedeit, datt d’Pak dohi gaang ass, wou Dir se wëllt.
Native ESP ass net UDP
Native ESP ass IP-Protokoll 50, deen entweder TCP nach UDP ass an iwwerhaapt keng Porte huet. Eng Firewall-Regel, déi IKE op UDP 500 erlaabt, seet dofir naischt iwwer den Datenwee, an e Filter, deen ëm Porte geschriwwe gouf, kann en Tunnel verhandelen loossen an duerno alles verworf, wat dobannen transportéiert gëtt. Test den Datenwee fir sech, an deem Modus, deen Dir tatsächlech observéiert hutt.
Hannert engem NAT ännert sech d’Form: déi geschützt Notzlaascht reest bannen an UDP, meeschtens op Port 4500, wéi RFC 3948 et festhält. Hält den aktive Modus fest, ier Dir eng Regel schreift, well en Apparat um Wee native ESP an UDP-encapsuléierten ESP komplett anescht behandele kann, an e puer Mëttelboxen erlaben deen een an verwerfen deen aneren.
Liest Zähler, déi zu dësem Tëschefall gehéieren
Op engem strongSwan-Host mellt swanctl --list-sas Paken- a Byte-Zähler pro Associatioun a béid Richtungen, wat duergeet, fir "ni ukomm" vun "ukomm an net beäntwert" ze trennen. Op Linux zielt /proc/net/xfrm_stat aggregéiert Feeler wéi fehlenden Zoustand, fehlend Politik a Protokollfeeler. Dës Summe sammelen sech zënter dem Start an gehéieren zu engem eenzegen Netzwierk-Namespace, dofir ass eng grouss Zuel nach keng Zouuerdnung.
Huelt zwou Liesungen ëm d’Tëschefallsfenster am richtege Namespace a vergläicht d’Differenzen, soss pecht Dir d’Feeler vun der leschter Woch op den Ticket vun dësem Nomëtteg. Schreift den Namespace an béid Zäitstempel an den Ticket, sou datt den nächste Lieser de Verglach reproduzéiere kann, amplaz enger Summ ze vertrauen.
Nennt d’Etapp, net de Verdächtegen
En nëtzlechen Ofschloss seet, wou d’Pak stoe bliwwen ass: ni empfaangen, empfaangen a verworf, geliwwert awer onbeäntwert, oder beäntwert a verluer um Zréckwee. All eenzelt dovun weist op en anere Besëtzer an en anere nächste Befehl. "Keng Äntwert vum VPN-Server" dréckt véier verschidde Feeler an ee Saz, deen d’Opnam ni justifiéiert huet.
Hält d’Opnamen enk, an hält de roe Kernelzoustand aus den Ticketten, well en Schlësselmaterial ka droen, dat näischt baussen dem Host ze sichen huet. D’Zählerdifferenzen an d’Zäitstempel sinn déi Deeler, déi et wäert sinn, un déi nächst Persoun weiderzeginn.